기술 요약: OTA-FL 시스템에서의 백도어 공격 탐지 및 완화

1. 문제 정의

무선 채널의 중첩 (superposition) 특성을 활용하여 통신 효율적인 모델 집합을 달성하는 오버더에어 연방 학습 (OTA-FL) 은 모바일 엣지 네트워크에 이론적으로 규모에 무관한 오버헤드를 제공합니다. 그러나 이러한 효율성은 중요한 보안 취약점을 초래합니다: 파라미터 서버 (PS) 는 개별 클라이언트 업데이트가 아닌 중첩된 신호만 수신하기 때문입니다. 결과적으로 PS 는 특정 로컬 업데이트의 정확성을 검증할 수 없으며, 이는 표준 방어 메커니즘을 적용 불가능하게 만듭니다.

이 취약점은 특히 백도어 공격에 대해 치명적입니다. 적대자들은 일부 클라이언트를 조작하여 전역 모델에 숨겨진 악의적 행동 (트리거 - 타겟 매핑) 을 주입하면서 정당한 입력에 대해서는 높은 정확도를 유지합니다. 이 문제는 다음과 같은 요인으로 더욱 악화됩니다:

• 은밀한 제약: 정교한 적대자들은 정당한 그래디언트 드리프트를 모방하기 위해 특정 지표 (예: 유클리드 거리 또는 코사인 유사도) 로 제한된 중독된 그래디언트를 제작하여 단일 지표에 의존하는 탐지 방법을 회피할 수 있습니다.
• 비독립 동일 분포 (Non-IID) 데이터: 비독립 동일 분포 데이터가 있는 현실적인 환경에서는 정당한 클라이언트들이 데이터 이질성으로 인해 자연스럽게 그래디언트 드리프트를 보입니다. 이는 PS 가 통계적 이질성과 정교하게 제작된 악의적 업데이트를 구분하기 어렵게 만듭니다.
• 클라이언트별 검사 불가능: 기존 FL 과 달리 OTA-FL 은 집합 전에 PS 가 개별 클라이언트 업데이트를 검사하거나 필터링하는 것을 방지합니다.

기존 OTA-FL 방어책은 종종 전용 리소스 블록, 더미 심볼과 같은 리소스 집약적 전략이나 시스템 효율성을 훼손하는 아키텍처 변경에 의존합니다. 은밀하고 지표가 제한된 백도어 공격을 효과적으로 식별하면서 오버헤드를 최소화하는 방어 메커니즘이 필요합니다.

2. 방법론: 신뢰 후 검사 (Trust-Then-Inspect, TTI)

본 논문은 OTA-FL 시스템에서 백도어 공격을 탐지하고 완화하기 위해 고안된 2 단계 강건한 집합 프레임워크인 **신뢰 후 검사 (TTI)**를 제안합니다. 핵심 철학은 추가 통신 및 계산 오버헤드를 "의심스러운" 클라이언트에게만 국한하여 대부분의 신뢰받는 참여자에 대한 OTA 집합의 효율성을 유지하는 것입니다.

1 단계: 모달리티 인식 신뢰 점수를 통한 클라이언트 계층화

첫 번째 단계는 경량화된 클라이언트 측 예비 검사를 수행하여 클라이언트를 신뢰, 의심, 악의적의 세 계층으로 분류합니다.

• 모달리티 인식 다중 지표 신뢰 점수: 단일 지표에 의존하는 대신, 프레임워크는 데이터 모달리티 (예: 파형, 텍스트, 이미지) 와 모델 아키텍처에 따라 선택된 여러 지표를 기반으로 복합 신뢰 점수 ($TS$) 를 계산합니다.
  • 기하학적 지표: 시간적 방향 정렬 (TDA), 상대 $\ell_2$ 노름, 그리고 스파이키니스 (그래디언트 에너지의 집중) 를 포함합니다.
  • 모달리티별 지표: AG News 와 같은 특정 작업에 맞춰 텍스트별 특징과 같은 추가 지표가 맞춤화됩니다.
  • 가중치 최적화: 이러한 지표의 가중치는 수동으로 조정되지 않고 **베이지안 최적화 (BO)**를 통해 학습됩니다. BO 프로세스는 오프라인 보정 단계에서 주 작업 정확도 (MTA) 를 최대화하면서 공격 성공률 (ASR) 을 최소화하는 트레이드오프 목적 함수 ($J$) 를 최적화합니다.
• 계층화 전략: 계산된 신뢰 점수에 따라 클라이언트가 분할됩니다.
  • 신뢰: OTA 집합으로 직접 진행합니다.
  • 악의적: 즉시 제외됩니다.
  • 의심: 심층 검사를 위해 2 단계로 전달됩니다.

2 단계: PS 측 레이어별 검사

"의심" 계층의 클라이언트는 정당한 드리프트와 악의적 업데이트를 구분하기 위해 파라미터 서버에서 세밀한 검사를 받습니다.

• 레이어별 분해: PS 는 의심스러운 클라이언트의 모델 업데이트를 개별 신경망 레이어 그래디언트로 분해합니다.
• 특징 추출 및 클러스터링: 각 레이어에 대해 PS 는 부호 구조, 분포 형태 (첨도/왜도), 클라이언트 간 거리, 기준 편차, 크기, 방향 유사성을 포함한 특징을 추출합니다.
• 응집 계층적 클러스터링 (AHC): PS 는 각 레이어에서 의심스러운 클라이언트를 두 그룹으로 클러스터링합니다. "정당한" 클러스터는 신뢰할 수 있는 기준 그래디언트 및 과거 평판과의 정렬을 기반으로 식별되며, 내부 일관성보다 정렬을 우선시합니다 (Non-IID 데이터 하의 정당한 업데이트가 매우 다양할 수 있음을 인정).
• 다수결 투표: "정당한" 것으로 분류된 레이어의 비율이 임계값 $\rho$를 초과하면 클라이언트가 승인됩니다.
• 평판 점수 (RS) 메커니즘: 장기 방어를 위해 PS 는 각 클라이언트에 대한 영구적인 평판 점수를 유지합니다. 성공적인 집합에 참여한 클라이언트는 점수가 증가합니다. 웜업 기간 후, 평판 점수의 중앙값 절대 편차 (MAD) 를 기반으로 한 필터가 적용되어 레이어별 검사를 일시적으로 회피하더라도 지속적으로 낮은 점수를 가진 클라이언트를 제외합니다.

전체 워크플로우

이 프레임워크는 이러한 단계를 반복 과정으로 통합합니다:

1. 클라이언트가 로컬 지표를 계산하여 PS 에 보고합니다.
2. PS 는 신뢰 점수를 계산하고 클라이언트를 계층화합니다.
3. 신뢰받는 클라이언트는 OTA 집합을 수행하고, 의심스러운 클라이언트는 업데이트를 개별적으로 업로드합니다.
4. PS 는 레이어별 검사 및 평판 필터링을 수행합니다.
5. 최종 승인된 클라이언트 세트를 사용하여 전역 모델이 업데이트됩니다.

3. 주요 기여

본 논문은 다음과 같은 구체적인 기여를 주장합니다:

1. 모달리티 인식 다중 지표 신뢰 점수화: 베이지안 최적화를 통해 가중치가 최적화된 작업별 지표의 복합 점수를 사용하는 클라이언트 측 메커니즘입니다. 이 접근법은 단일 지표 방어를 회피하는 지표 제한 공격에 대한 강건성을 제공합니다.
2. PS 측 레이어별 검사: 전역 모델이 아닌 개별 신경망 레이어의 세밀한 단위로 작동하는 탐지 모듈입니다. 이는 희소하거나 국소화된 백도어 교란 (예: Neurotoxin 공격) 을 탐지하지 못하는 경우가 많은 전역 지표의 한계를 해결합니다.
3. 장기 평판 메커니즘: 시간에 따라 행동 증거를 누적하는 동적 점수 시스템으로, 악의적 클라이언트를 점진적으로 식별하고 궁극적으로 평판 필터링에 의존하여 장기 계산 오버헤드를 줄일 수 있게 합니다.
4. 종합적 검증: 다양한 백도어 공격 (Bounded-scaling, Euclidean-constrained, Cosine-constrained, Neurotoxin) 을 효과적으로 억제하면서 경쟁력 있는 주 작업 정확도 (MTA) 를 유지함을 보여주는 광범위한 실험입니다.

4. 실험 결과

저자들은 Non-IID 설정 하에서 세 가지 데이터셋 (RML2016.10A, AG News, CIFAR-10) 과 다양한 모델 아키텍처 (1D CNN, Text CNN, ResNet9) 에서 TTI 를 평가했습니다.

• 공격 억제: 방어 없이 백도어 공격은 종종 80-99% 를 초과하는 높은 공격 성공률 (ASR) 을 달성했습니다. TTI 프레임워크는 모든 공격 유형에 걸쳐 ASR 을 우연 수준 (예: 10 클래스 CIFAR-10 의 경우 약 10%) 으로 일관되게 감소시켰습니다.
• 주 작업 정확도 (MTA): 이 프레임워크는 공격 없는 기준선과 비교하여 미미한 저하만 보이며 경쟁력 있는 MTA 를 유지했습니다.
• 어블레이션 연구:
  • 단일 지표 vs 다중 지표: 단일 지표 계층화 (예: $\ell_2$ 노름만 사용) 는 해당 지표를 회피하도록 설계된 공격에 취약한 것으로 나타났습니다. 강건성을 위해 다중 지표 접근법이 필요함이 입증되었습니다.
  • 레이어별 vs 모델별: 레이어별 검사를 전체 모델 검사로 대체하면 Neurotoxin 공격에 대한 성능이 크게 저하되어 세밀한 검사의 필요성을 검증했습니다.
• 효율성: TTI 는 Best-Effort Voting (BEV) 또는 FedSAC 와 같은 베이스라인보다 라운드당 실행 시간이 약간 더 길지만, 이 오버헤드는 "의심" 계층 (테스트 설정에서 약 30% 의 클라이언트) 에만 국한됩니다. 이 트레이드오프는 현저히 낮은 ASR 을 제공하여 유리한 강건성 - 효율성 균형을 보여줍니다.

5. 중요성 및 주장

본 논문은 OTA-FL 을 매력적으로 만드는 통신 효율성을 훼손하지 않고 백도어 공격에 대항하는 OTA-FL 방어의 "미해결 문제"에 대한 해결책으로 TTI 를 제시합니다.

• 중첩 제한 사항 해결: 이 프레임워크는 PS 가 초기에 개별 업데이트를 볼 수 없다는 근본적인 제약을 인정합니다. TTI 는 선별을 위한 경량 클라이언트 측 보고를 사용하고 모호한 경우에만 비싼 개별 업로드/검사를 예약함으로써 이를 우회합니다.
• 은밀한 공격에 대한 강건성: 저자들은 이 방법이 기존 노름 기반 또는 방향 기반 방어를 무력화하는 것으로 알려진 "지표 제한" (유클리드/코사인) 공격과 "희소" (Neurotoxin) 공격에 특히 효과적임을 강조합니다.
• 확장성 및 적응성: 베이지안 최적화를 통한 가중치 조정과 모달리티 인식 지표를 사용하여, 이 프레임워크는 모든 새로운 시나리오에 대한 수동 재조정 없이 다양한 데이터 유형과 모델 구조에 적응하도록 설계되었습니다.
• 장기적 생존 가능성: 평판 점수 메커니즘의 포함은 검사에 따른 계산 비용을 시간에 따라 분산시키는 방법으로 강조되며, 참여 클라이언트의 행동을 학습함에 따라 시스템이 더 효율적으로 변할 수 있게 합니다.

저자들은 TTI 가 보안 (낮은 ASR), 유틸리티 (높은 MTA), 효율성 (최소한의 오버헤드) 의 상충되는 요구 사항을 성공적으로 균형 잡았으며, 차세대 무선 연방 학습 시스템을 위한 실용적인 방어 전략을 제공한다고 결론지었습니다.